Актуальные ссылки:

sourceforge.net
http://x64dbg.com
https://github.com/x64dbg/x64dbg
scyllahide

Документациия по отладчику - --> Link <--

Новый проект от Mr.eXoDia и др.

Features:

Open-source
Intuitive and familiar, yet new user interface
C-like expression parser
Full-featured debugging of DLL and EXE files (TitanEngine)
IDA-like sidebar with jump arrows
IDA-like instruction token highlighter (highlight registers etc.)
Memory map
Symbol view
Thread view
Content-sensitive register view
Fully customizable color scheme
Dynamically recognize modules and strings
Import reconstructor integrated (Scylla)
Fast disassembler (BeaEngine)
User database (JSON) for comments, labels, bookmarks etc.
Plugin support with growing API
Extendable, debuggable scripting language for automation
Multi-datatype memory dump
Basic debug symbol (PDB) support
Dynamic stack view
Built-in assembler (XEDParse)
View your patches and save them to disk
Built-in hex editor
Find patterns in memory






| Сообщение посчитали полезным: ff0h, Gideon Vi, nick8606, Artem_N, JKornev, DimitarSerg, daFix, Rio, n0x90, DenCoder, Maximus, ELF_7719116, exprxp, Error13Tracer, Gerpes, SDFnik, VanHelsing, marius, jangle, hello, Bronco, mushr00m, HandMill, Johnatalbi, kassane, BAHEK, zNob, mkdev, Haoose-GP, HAOSov, mr qubo, Tyrus, kurorolucifer, Relax_, esa_r, Styx, Creckerhack, RootKey, RoKZaR, CKAP, Cigan, tRuNKator, Wargrinder, morgot, BiteMoon, mak, Illuzion

mak пишет:
SergeyFil пишет:
подскажите, а на последних билдах у всех поиск по String стал очень долгим? Прям ну очень медленно ищет

Проблему нашли --> Link <--

-----
RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube

| Сообщение посчитали полезным:

mak
удивительно то , что кто-то дебажит софт на машине с говнософтом, именуемым "антивирус". Зачем?? Если , конечно, цель не реверс этого самого авера.
а то, что авер замедляет комп, не удивительно ни разу. говНод же сканирует всю память всех приложений, типа для защиты от "крипторов", а на деле это такой себе легальный мимикатц.

| Сообщение посчитали полезным:

А есть опция «Copy to executable»?
Ну чтобы изменения байт в ехе сохранить.

| Сообщение посчитали полезным:

WELL, в дебагере обычный патчер.
------
свежий релиз, очень долго загружает файлы.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

WELL File->Patch file... спасет отца русской демократии

ЗЫ куда делись плугины для отладчика? больше не поддерживаются? Просто я с 2018 года не обновлял отладчик

| Сообщение посчитали полезным: WELL

Bronco, esa_r, благодарю

| Сообщение посчитали полезным:

Есть возможность вывести в лог имена функций при массовой установке бп?
Так через "символы" можно задать точки останова на все функции модуля сразу, но при этом условных бп в выборе нет.

Цель - получить последовательный список имен всех вызываемых фунций из одной конкретной dll.
Осложняется все тем, что этих функций в сеттинге того же апи монтора нет, иначе просто посмотрел бы там.

Если x64 не умеет, может чем-то еще?

| Сообщение посчитали полезным:

Ate пишет:
Цель - получить последовательный список имен всех вызываемых фунций из одной конкретной dll
если имена есть, через формат строки их можно получить.
если это апи импорта или экспорта,вместо бп, может лучше на атрибутах раздела образа библы поиграться?

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Как в OllyDbg, так и в x64dbg, команда скрипта find работает через , старый добрый способ в 1000 раз быстрей


-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным:

ClockMan пишет:
команда скрипта find работает через
дык... тут яра двиг, ищет чётко.
я обычно для некст, смещаю адрес поиска на длину паттерна.
------------
как посчитать, состояние какого флага проверяют?


-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Вопрос дня: как x64dbg работает с исключениями?! Положим, нужно узнать все вектора, которые приложение повесило плюс смотреть контекст, после возникновения эксепшена (когда в NTDLL.KiUserExceptionDispatcher - повешенном векторе находимся )
Если дебагер поставил точку останова, вектора ведь тоже получат управление после отладчика, так подозреваю?

| Сообщение посчитали полезным:

ELF_7719116
--> Link <--

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным:

ClockMan
Тут вопрос в самом механзиме. У отладчике есть гадский баг с неудаляемыми точками останова (аппаратными), если адрес поменялся при ремапе

mrexodia
Please fix critical bug with undeleted hardware breakpoints for unmapped sections (with different address)! I see hw bp in list, but can delete - No such hardware breakpoint "any_addr"

| Сообщение посчитали полезным:

ELF_7719116 пишет:
Тут вопрос в самом механзиме. У отладчике есть гадский баг с неудаляемыми точками останова (аппаратными), если адрес поменялся при ремапе
Параметры>Ядро>Игнорировать несовместимые точки останова????

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным:

ClockMan пишет:
Параметры>Ядро>Игнорировать несовместимые точки останова???
Всё равно отдалчик не удаляет их из списка. Причем он их ставит, но не обрабатывает: из-за этого лютая дичь получается.

| Сообщение посчитали полезным:

Bronco пишет:
как посчитать, состояние какого флага проверяют?
вот не ожидал что вопрос сложный, дам подсказку, это проверяют состояние CF.
но вопрос остался..

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Извиняюсь за чайниковский вопрос, мне надо прерваться в момент считывания 36 байт, ставлю в x32dbg бряк на ReadFile - полет нормальный, останавливает везде.
Чуть усложняю - добавляю к бряку условие останова ([ESP+0C]==24) - запускаю, ничего не меняется, все равно останавливает везде. Где я туплю?

PS Все вкурил ( [ esp + 0C ] == 24) сработало как надо

| Сообщение посчитали полезным:

Bronco пишет:
но вопрос остался..
Чё серьёзно?

Case ROR > ROL:
0xB - 0xA == 1 -> first flag -> Reserved, always 1 in EFLAGS (это не CF...)

bit flag
0 cf
1
2 pf
3
4 af
5
6 zf
7 sf
8 tf
9
10 df
11 of

Нужно только обдумать кейсы когда аргумент >64 и конструкции другой формы, типа ROR сначала итд.
Но биты ты крутить я думаю умеешь и арифметику знаешь.

И с твоего поста не ясно что чекают после ROR, может первый бит, а может и нет.

Добавлено спустя 7 минут
Есть возможность убрать подсветку с адреса но только на коротких джампах?


| Сообщение посчитали полезным: Bronco

friend пишет:
это не CF...
R11 = rflags = 0x201
а если так ROL R11, 0x3f?
покрути сдвиг вправо.
за внимание спасибо. лайкнул

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

А тема с кейсами, это честно говоря твое дело и вроде только дело времени нужного для их формулировки. Пример:
case ror < rol
8 bit register
76543210
rol 6
10765432
ror 2
32107654
4th bit is now least significat bit -> abs(2-6) or 6-2? Я не уверен, какой вариант правильный.

Если аргумент уйдёт за размеры регистира то модуло reg-1 выдаст позицию битa после рол'а, где то так... плюс минус один. Но это твоё занятие...

| Сообщение посчитали полезным:

friend, ROR R11, 0xB = ROL R11, 0x35, возможно здесь решение?

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Я не пойму, ты прикалываешься надо мною? РОЛы информацию не теряют, возьми нарисуй регистр и смотри куда сдвинулся бит.
Алсо, что значит твой знак "равно"?

Пример 8 битного регистра, 76543210, flagpos 0 == cf
(flagpos + rol_arg) % reg_size == flagpos_after_rol

(0 + 1) % 8 == 1
(0 + 7) % 8 == 7
(0 + 8) % 8 == 0
(0 + 15) % 8 == 7 // После рола на 15 бит влево, cf оказывается на позиции 7 -> 07654321

Остаётся только с рором определиться.

| Сообщение посчитали полезным:

friend пишет:
ты прикалываешься надо мною?
у меня нет пока решения, у меня только догадки и поиск.
на PUSHFQ, не обращай внимание, это для конкретности что регистр r11 = состоянию рфлаг, не обязательно текущему.
friend пишет:
что значит твой знак "равно"?
операции идентичны по результу, два сдвига влево (0x35 + 0x0A) можно суммировать?
если да, то в итоге сдвиг влево на 63 позиции, если СF = 1, мы получим число, если СF = 0, то на выходе зеро.
у меня сейвят в контекст, 8 флагов по отдельности, и пока такая арифметика подходит.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Bronco пишет:
friend, ROR R11, 0xB = ROL R11, 0x35, возможно здесь решение?
Возможно, и оно очевидно, если проверяется первый бит.
Исходная позиция:

после операций бит на первом месте.

два сдвига влево (0x35 + 0x0A) можно суммировать?
Можно, если результат за границы регистра не выходит.

Ты же вроде ВМпрот разбирать умеешь, как ты про логику РОЛ/Р не знаешь?

| Сообщение посчитали полезным:

friend пишет:
и оно очевидно, если проверяется первый бит.
дякую, 2 схожих мнения лучшего одного.
friend пишет:
Ты же вроде ВМпрот разбирать умеешь, как ты про логику РОЛ/Р не знаешь?
хм.. я задал вопрос, дал подсказку, далее в форме вопросов предложил вариант решения, пока без утверждений и оформления.
ожидал подтверждения.
что вызывало сомнения?
вм гавнопрота давно смотрел, не помню чтобы тогда очень активно юзали сдвиги. в основном NOR и необратимые операции.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

ELF_7719116 пишет:
Please fix critical bug with undeleted hardware breakpoints for unmapped sections (with different address)! I see hw bp in list, but can delete - No such hardware breakpoint "any_addr"

Should be fixed now, thanks for the report

| Сообщение посчитали полезным: ELF_7719116, mak

Извиняюсь снова за чайниковский вопрос, к вечеру моск замылился
А как в x32dbg заменить один шаблон на другой? Скажем, я нашел стопятьсот вхождений шаблона в блоке - как их все разом поменять?

| Сообщение посчитали полезным:

_MBK_ пишет:
заменить один шаблон на другой?
все сразу никак, замена только в процессе поиска, и если шаблон не больше 4 байт (для х32).

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

А может как нибудь скриптом? Уж сильно дохрена вхождений порядка тысячи

| Сообщение посчитали полезным:

_MBK_ пишет:
порядка тысячи
та это ни чём..))
я так понял тебе проще скелет тыкнуть.


-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным: _MBK_